ISCC 2016 逆向部分 writeup
ISCC2016 逆向部分
by GoldsNow
做了这套题目感觉涨了不少的姿势。。渣渣就只能够用渣渣的方法
题目下载
Help me
描述：I’ve got a difficult task and I can’t solve it. I need your help!
思路：爆破
ELF64位的程序，直接在IDA中打开，可以看出来思路应该是比较清晰
先点进去main函数来进行分析。
for ( i = 0; i <= 15; ++i )
{
if ( !(v11 & 1) )
++v5;
v11 >>= 1;
}
先对这个一段代码进行分析，经过位运算，来判断二进制数字有多少个 0
很明显 这里只需要三个 0
这里的MD5是个比较坑的地方，C语言并没有自带的库， 也不知道它到底进行的是什么。 只知道他是与 unk_6020A0 来比较的 有尝试 对这个地址的数据进行 MD5的解密，可惜最终是失败了的。
换一个思路，我们可以看到这里的 word_602080 经过了异或运算 然后 byte_6020C0 减去 这个的值然后输出最终的flag 所以可以从这个角度来解决题目， 这里面值有 V10也就是输入的那一个数字是不知道的， 可以通过暴力破解来实现。
我在做题目的时候用了C语言来判断， 判断第五个字母是不是‘｛’
附上我的c程序可以参考一下。
unsigned char a[]={0x34,0x12,0x78,0x56,0xBC,0x9A,0xFF,0xED,0xEF,0xBE,0x7F,0x22,0xC3,0x90,0x76,0x82,0xAD,0x99,0x2E,0x14,0x7C,0x80};
unsigned char b[]={0x22,0x3F,0xD8,0xEB,0xCC,0xD2,0x42,0x87,0x61,0x75,0x01,0x09,0x27,0xF9,0xDC,0xE8,0x16,0xFC,0x5F,0x89,0xB3,0xFD};
__int16 c[6]={0x3412,0x7856,0xbc9a,0xffed,0xefbe,0x7f22};
__int16 d[6];
__int16 x1=0,x2=0xffff,x=0;
for(int i=0;i<=15;i++) // 三重for循环将 v10的可能性都列出来了
for(int j=i+1;j<=15;j++)
for(int m=j+1;m<=15;m++)
{
x2==0xffff;
x1=(__int16)(pow(2,i)+pow(2,j)+pow(2,m));
x=x2-x1; //这三行是为了得到V10的可以理解一下
for(int n=0;n<=5;n++)
{
d[n]=c[n]^x;
a[2*n]=d[n]>>8;
a[2*n+1]=( __int8) d[n];
}
if(b[4]-a[4]=='{') //如果是'{'就输出 可能的flag
{
printf("%x ",x);
for(int i=0;i<22;i++)
printf("%c",b[i]-a[i]);
printf("\n");
}
}
破解加密软件
描述：我方截获了敌方的一款加密程序和一段密文，尝试通过对此程序进行分析实现对密文的解密，解密后明文的32位小写MD5值作为flag提交。
思路：扣出程序中所包含的一个加密解密系统，得到密钥 解密
吾爱破解对于这个题目也有比较详细的解题过程 链接
通过OD载入然后搜索里面的字符串可以发现 程序有两个功能，一个就是原题所给的 输入字符串就加密，其实里面还有一个程序就是 通过给与密钥就能够加密与解密
通过修改跳转，或者修改 call 的内容等等其他 方法能够让程序运行到那一段 这样就好办了。但是 还不知道密钥是什么。
想法是密钥肯定会在 初始的加密程序中引用
对程序进行单步跟踪。一步一步运行 到达一定地方的时候堆栈中就出现了如下可惜的八位数字，并且这个不会随着你的输入而改变数字，猜测其为密钥
果然没错 一下子就出来了
这里有一个地方就是 直接用OD跑出来的值会有一个空格多出来也不知道是为什么。
菜鸟的逆袭
描述：”小明是个游戏新手，一天他闲得无聊去找基友打L4D2，基友嫌他太菜，不愿带他，无奈小明百般纠缠，便给了他一个程序，并且告诉他：“如果你能得到正确答案，我就把我毕生混野绝学传授给你。”聪明的你能帮助小明得到正确的答案吗？
测试环境：干净的WinXP SP3”
找不到动态调试的软件。只能够静态分析，用ＩＤＡ打开。
可以通过提示 推断出来 这里有两个词，分别是DEAD和BEEF
正好属于A-F 因为是A-F 属于0-F的范围 都符合16进制的值。所以上面的V9就是0xdeadbeef或者说0xDEADBEEF
通过将dword_10F80-dword_10F90与V9异或输出，能够得到 一串看起来很像flag的值但是 要靠程序接下来分析 将字符串进行了转化
orPh0fh!:hlghnoCgalF
这样转化一下就出来了，，是不是很简单，，，但是要去想到却很难。。
矛盾
描述：To be or not to be, that is the question.
思路 去除TLS，暴力
参考资料 http://www.2cto.com/Article/201303/197705.html
IDA载入
找到TLScallback 在010中打开它用00填充此部分 保存文件就能够进入程序的主函数部分了，但是还是不能够得到flag 有点小郁闷
通过查看字符串来寻找有没有弹出窗口，运气不错发现一个弹出窗口。
并且在上面也出现了flag的字样。
函数的上有几个 sub_4385FF 推测他用的就是memset 将目标的地址段 值置零。所以这里就会使最终的flag
最后处理 的是直接打开OD跳转到相关的语段 跑一下就出来了。
Anti
描述：Every technique has its anti.
这个题目就是 反调试，，绕过dll文件中的对调试器和模拟器的检测。。
操作方法，具体就不介绍了，就是在OD中 一步一步，对于有些 call 直接就nop掉 一些明显要推出的函数就强制跳转或者也nop了
进入主程序之后，难度就会明显下降
很容易就能够找到主要的那个对比的地址， 最后有一段看起来很复杂的加密方法，，，，分析半天没分析出来，后来一看就32位的，，就想到了可能是用了MD5加密方法，，最终在XMD5 一下子就出来flag 了。
GoGoGo
描述：Mission is a go.
这个题目用了GO语言。问了很多人，都说是用动态分析做出来了，但是我最后是通过静态分析，很容易就做出来了。
IDA的分析是非常规的。 只能靠猜
v38 = "Please input : ";
v39 = off_4DC4C0[1];
v40 = 0LL;
v41 = 0LL;
if ( &v30 == -88 )
LODWORD(v40) = 0;
v42 = &v40;
v43 = 1;
v44 = 1;
v30 = &unk_4A10A0;
v31 = &v38;
sub_41FA10(&v42, a2, a3, v3);
v4 = v42;
v5 = v42;
*v42 = v32;
++v5;
*v5 = v33;
++v5;
v30 = v4;
v31 = v43;
v32 = v44;
sub_42C510(v5, &v34, v6, v7, v8, v9);
sub_400C00(v5, &v34);
v36 = v30;
v37 = v31;
v32 = &unk_4D73F0;
v33 = *(&off_4D73E0 + 1);
v10 = &off_4D73E0 + 2;
sub_446A70(&v34, (&off_4D73E0 + 2), v11, v30, v12, v13);
v16 = v34;
v36 = v34;
v37 = v35;
if ( v35 != 38 || (v30 = v34, v31 = 38, sub_400CB0(&v34, v10, v14, v34, v15), v32 != 1) )
{
v38 = "Wrong!!!";
v39 = off_4DCCE0[1];
v40 = 0LL;
v41 = 0LL;
if ( &v30 == -88 )
LODWORD(v40) = 0;
v42 = &v40;
v43 = 1;
v44 = 1;
v30 = &unk_4A10A0;
v31 = &v38;
sub_41FA10(&v42, v10, v14, v16);
v24 = v42;
v25 = v42;
*v42 = v32;
++v25;
*v25 = v33;
v30 = v24;
v31 = v43;
v32 = v44;
result = sub_42C510((v25 + 1), &v34, v26, v27, v28, v29);
}
else
{
v38 = "Congratz!!";
v39 = off_4DB7A0[1];
v40 = 0LL;
v41 = 0LL;
if ( &v30 == -88 )
LODWORD(v40) = 0;
v42 = &v40;
v43 = 1;
v44 = 1;
v30 = &unk_4A10A0;
v31 = &v38;
sub_41FA10(&v42, v10, v14, v16);
v17 = v42;
v18 = v42;
*v42 = v32;
++v18;
*v18 = v33;
v30 = v17;
v31 = v43;
v32 = v44;
result = sub_42C510((v18 + 1), &v34, v19, v20, v21, v22);
}
截图太累 直接把代码复制了，，通过对比 可以看出 这个 ‘sub_42C510’ 才是输出的结束语句
input 那边还需要一个读取字符的语句 就猜测是 ‘sub_446A70’ 这语段是输出语段。
主要起作用的当然是 if语句里的那个 sub_400CB0 了
这里有一个 字符转化和一个内存中的数据很可疑，，刚开始以为是输入的语句经过处理变成这样，但是实际上我错了。是这个内存中的 数据 经过这个处理会出现一段base64加密过的数据。。
附上代码
int b[52]={0xA5,0xD6,0x87,0x86,0xA5,0x33,0x37,0x03,0xE4,0x75,0xE4,0xB6,0x95,0xA7,0xC6,0xD6,0xE4,0x44,0x94,0x53,0xE4,0xA6,0xB6,0x53,0xD4,0x23,0xD4,0x77,0xD4,0xA7,0x46,0xB6,0xA5,0x74,0x55,0x13,0xD4,0xA6,0x36,0x87,0x95,0x75,0x55,0x43,0x95,0xA6,0x15,0x03,0x95,0x33,0x03,0xD3};
for(int j=0;j<52;j++)
{
printf("%c",(16*b[j]|b[j]>>4));
}
就是这么简单，，然后将这个进过base64解密一下就出来了 我也觉的很意外。